Docker 容器权限管理的最佳实践是什么？

Docker 容器权限管理涉及用户权限和容器能力。默认情况下，容器以 root 用户运行，存在安全风险。最佳实践：1）在 Dockerfile 中使用 USER 指令切换到非 root 用户；2）使用 --user 参数指定运行用户；3）使用 --cap-drop 删除不需要的 Linux capabilities；4）使用 --cap-add 只添加必要的 capabilities；5）使用 --read-only 标志使容器文件系统只读；6）使用 --security-opt no-new-privileges 防止提权；7）使用 AppArmor 或 SELinux 配置文件增强安全。对于需要 root 权限的操作，可以使用 sudo 或 capabilities 细粒度控制。